禾光企业版 Linux 1.5.15 · 麒麟 Intel 图形安装器 r1 · 2026-10-29

适用范围：银河麒麟桌面 V10 SP1、Intel/AMD x86_64、glibc 2.31+、DEB/APT。
这是兼容测试包，尚需麒麟真机验证远控采集、输入、重连及安全中心行为。
不支持 ARM、龙芯或 RPM 服务器版；不自动宣称 V11/openKylin 兼容。

图形安装：
1. 在实际使用远控的普通用户桌面下载 .run 安装程序。
2. 文件管理器右键安装文件 → 属性 → 权限，勾选“允许作为程序执行”。
   不同麒麟文件管理器的措辞可能不同；这是 Linux 的正常执行许可。
3. 双击运行，选择需要远程输入的桌面用户，阅读权限提示并勾选确认。
4. 点击“授权并安装”，在系统管理员授权窗口输入管理员凭据。
   安装器本身不收集密码；若取消授权，可在安装器中返回重试。
5. 查看安装进度和日志。需要补齐系统依赖时使用正常 APT 软件源。
6. 若显示“请注销后重新登录”，先保存工作，完整注销桌面并重新登录。
   安装器不会强制注销、重启、自动启动远控或中断已有连接。
7. 只有当前桌面用户的输入接口自检通过时，完成页才提供两个端的启动按钮。
   也可从应用菜单打开“禾光企业版被控端”及“禾光企业版控制端”。
   为其他账号安装时，应先切换到该账号。不要用 sudo 启动图形程序。

权限边界：
- 图形界面以普通用户运行；只有无界面的安装工作程序通过 pkexec 提权。
- 提权程序仅接受包内固定版本、固定 SHA-256 的两个 DEB，先复制到 root 私有目录
  再校验和安装，不接受远程 URL、任意 shell 命令或自选安装脚本。
- 只追加所选用户到 helink-uinput 专用组，/dev/uinput 为 root:helink-uinput 0660。
  该组可以模拟全局输入，只应授予可信账号。不开放 /dev/input/event*，不 chmod 666。
- 管理员的 udev 规则、麒麟安全中心和 Wayland 屏幕共享确认仍然生效，不绕过它们。
- 不以 root 启动两个客户端，不添加开机启动，不替换系统 Qt5、glibc 或 OpenSSL。
- 安装失败时可能已有部分组件落盘，日志明确报告失败，不声称自动回滚。
- ACCESS_OK 只代表当前进程的输入驱动接口可访问，不是实际远控或屏幕采集验收。

故障处理：
- 缺少 pkexec：通过系统软件管理器安装 polkit / policykit-1，并重新登录图形桌面。
- 授权窗口未出现：检查 polkit 服务与桌面授权代理；不要用 sudo 运行安装界面。
- 包管理器锁、软件源或网络故障：先处理系统问题，再返回重试。
- 输入配置待完成：检查内核 uinput、udev 及安全策略，不能仅凭程序已安装判断可控。
- 窗口打不开：检查 X11/XWayland、基础显示库及安全中心正常审核流程。
- 管理员可使用原命令行安装包作为备用，本次保留旧 r1 下载链接。
- 安装过程中不要关闭电源或终止包管理器；系统授权窗口可在授权前取消。

仅解包、不安装（管理员审计或排查用）：
  bash HeLinkEnterprise-linux-1.5.15-kylin-v10-amd64-gui-r1.run --extract 新目录
  cd 新目录 && sha256sum -c SHA256SUMS

图形安装器不包含部署码、账号密码、用户配置；客户端仍是已发布的 Linux 实际版本
1.5.15，与 Windows/macOS 更高版本不等同。两个 DEB 与 CLI r1 完全一致。
独立 Qt6、OpenSSL、OpenH264 等许可及对应源码地址见 THIRD-PARTY.txt 与 licenses/。
图形安装器也动态链接 Qt。需要自行替换兼容 Qt 库时，先用 --extract 解包，
在该目录执行 dpkg-deb -x payload/helink-enterprise_*.deb runtime，替换
runtime/usr/lib/helink-enterprise 下的兼容库/插件，然后直接运行 bin/helink-setup。